先日とある知人が「２段階認証のアプリを古いiPhoneにいれていたが某所に忘れてきてにっちもさっちもいかない」と言っていました。えっと思ったんですが、これくらいの認識の人も多いんですよね。ちょうどみなさんが口座を開設している仮想通貨取引所のセキュリティレベルについてまとめてみたいと思います。
２段階認証しないで仮想通貨とか絶対にあり得ない
ビットコインなどの仮想通貨は仮に侵入されて全部持って行かれても何の保証もありません。すべてなくなるのみです。ソーシャルでアカウントを乗っ取られても友人にちょっと迷惑を掛けるだけだが、仮想通貨では全てを失う。まずこのリスクを理解してよ、と。
仮想通貨取引所「Zaif」に不正アクセス–10人が不正出金される
1月6日夕方から1月7日未明にかけて、APIキーを利用した不正取引および不正出金が発生したというもの。不正出金については、10名分のアカウントで合計37件の出金が実行されたほか、不正取引では、15名分のアカウントで合計137件の注文が実行されたことを確認したという。
Zaifさん（@zaifdotjp）ユーザーのお金が（10万円以上）実際に消えているにもかかわらず、ほぼ一ヶ月問い合わせの返信すらないというのは、企業の対応として流石に異常だと思います。1/14まで待ちますが、その後は第三者への相談にコマを進める事と致します※当該問い合わせID #110214 #108029 #94044 https://t.co/zo2GYtc1KY
— 平山 英史(Eiji Hirayama) (@biz4e_hirayama) 2018年1月6日
このZaifってとこ。今までも度々コインがなくなったといろんな人が言っていて、しかも登録する個人認証に２ヶ月経っても返答無しとか、自分なら危なくて口座は作りません。ここを推してるアフィリエーターとか責任もとれないんだから適当なことするなよ。
仮想通貨取引所『Zaif』に740万円くらい預けていたら残高が40万円に 社長が登場「そんな取引見当たらない」
これもZaifだが、２段階認証してなくてしかも使い回しのパスワードとか、このユーザーも自業自得に見えるが、もし本当に盗まれたのに「記録が見当たらない」っていうことなら裏から入られてるんじゃないすか・・・もちろんTwitterで匿名だからそもそもがフェイクの可能性もあるけど。
取引所のバック、つまりデータベースに侵入されてごっそりなら、取引所もなんとかするかもしれませんが、一番確率が高いのはアカウントの乗っ取りです。
要するに「２段階認証してないヤツはどうぞ死んでください」がこの世界では当たり前です。
２段階認証+スマホのパスコードロックは必須
２段階認証と言っても
１ スマホアプリで認証
２ スマホのショートメールで認証
３ メールで認証
と種類がいくつかあるわけですが、３はパソコンごと盗まれて、そのパソコンにパスコードロックがかかっていなかったら簡単に突破されてしまうので、１を選択するのがまともな神経じゃないですか。コインチェックの２段階認証は１のみしかなく、bitFlyerは１と２の選択。ただしフロントをユーザーが以下に気を配っても裏から入られたらどうにもならないのはコインチェックが証明してくれました。w
スマホのパスコードも誕生日とかすぐ想像が付く番号ではなくて関係性のない番号にする。DMMドットコインの社長にライブドア時代に机並べていた田口さんが就任したのでご祝儀に口座を作ったが、ここは上の３種類からの選択になっていた。迷わずスマホアプリ一択です。
２だと自分のスマホからSIMカード抜かれて他のスマホに入れられたら、いくらスマホにロック掛けていても新しいスマホにパスコードが飛ぶから簡単に突破されます。１ならパソコンとスマホをセットで盗まれても、スマホのパスワードロックを突破できなければなにもできません。盗まれたと分かったら遠隔操作でスマホを初期化してしまえば良い。
ただしこの場合も、「このブラウザでは２段階認証をもう要求しない」設定があると、確かに毎回のログインでは便利ですが、パソコンやタブレット(ブラウザでログインしてる場合ね)ごと盗まれてパソコンのログインを突破されると意味がない。その設定が最初からできないコインチェックが一番安全なように思うが裏から入られたら意味ないわ。w
ほかのサービスでもブラウザを記憶させないほうがよい。当然、ログインするたびにスマホのアプリでパスコードを生成しないといけないが、その一手間が安全を高めるのです。
いずれにせよ、FacebookやTwitter、LINEアカウントを乗っ取られてしまう方は、セキュリティの認識が根本的に不足している。まじで仮想通貨は止めておいた方がいいと思う。自分の周囲にもたくさんいていまだにFacebookを乗っ取られている。もう一回言うけど
ソーシャルアカウントを乗っ取られる人は仮想通貨には手を出すな
です。いつか絶対やられます。間違いないですから。
２段階認証アプリは複数のスマホで設定する
仮に手待ちのスマホをなくしてしまったり、水没させてしまったら、２段階認証はできなくなる。盗まれたりなくしたときも同じですぐに遠隔操作でなくしたスマホの中身は消去するべきだから、２段階認証を設定していたらログインができなくなります。出てくるのをぼんやり待ってるとかありえないです。スマホは無くしたら速攻遠隔で中身を初期化し、出てきたらバックアップから復帰しかない。クラウドに必ずバックアップしておくの、常識ですから。
「２段階認証用のスマホなくした危機」を回避するには、複数のスマホでアプリの設定をする。当然、各スマホにはパスコードをがっちりかける。
一台のスマホでしかアプリが設定できないと思い込んでる人もいるが、別に何台でもできる。Wi-Fi接続できれば前に使ってた古いiPhoneでもいいのでこれにも同様のアプリを設定しておく。いったん２段階認証を解除して再設定するときにバーコードを２台で読み込めば良いだけです。これでメイン機が壊れてもサブ機でログインできるし、新しく買ったスマホで再度二台で登録すれば良い。
まとめると
１ PCもスマホも第三者が想像できないパスコードを絶対かける
２ ２段階認証はアプリを使用するものを選択
３ ブラウザを記憶させないで毎回パスコードを入れる
４ パスワードは絶対使い回さない
５ Facebook連携は切る
※万が一、Facebookに侵入されたら一緒にやられてしまう。逆に言うとFacebookで２段階認証しないでFacebook連携しているとか、死ぬほど馬鹿でしょう・・・・Facebookのアプリの管理から削除します。
パスワードは辞書に出ているような文字列にすると突破される確率が非常に高い。記号を混ぜて「jhw;^:]er@76kw55##」みたいな感じにする。
と、ここまでセキュリティに気をつけてはじめて仮想通貨が自分の責任で盗まれることがないわけで、こうしたことがさっぱりわかんないという人は手を出すべきじゃないと思うんですよね。しつこいようですけどコレ、マジだからね。
こちら、自分も読んでなかなか読みやすくて分かりやすかったです。
